Onder de NIS2-richtlijn ben je verplicht om een significant cyberincident binnen 24 uur te melden bij de bevoegde toezichthouder, gevolgd door een volledig rapport binnen 72 uur. Deze meldplicht geldt voor organisaties in aangewezen sectoren zoals zorg, transport, voedselproductie en digitale dienstverlening. In dit artikel beantwoorden we de meest gestelde vragen over de meldplicht voor cyberincidenten onder NIS2, zodat je precies weet wat je moet doen als het misgaat.
Welke termijnen gelden voor het melden van een cyberincident?
De NIS2-meldtermijn werkt in drie stappen. Binnen 24 uur na ontdekking stuur je een eerste melding aan de toezichthouder. Binnen 72 uur volgt een gedetailleerdere voortgangsmelding. Uiterlijk een maand na het incident lever je een eindrapport in met een volledige analyse en de genomen maatregelen.
Die 24-uurs termijn is bewust kort gehouden. Het doel is niet dat je binnen een dag alles weet, maar dat de toezichthouder tijdig op de hoogte is van een mogelijke dreiging die ook andere organisaties kan raken. Je eerste melding hoeft dus geen volledig beeld te geven, maar moet wel aangeven wat er speelt, wat de mogelijke impact is en welke eerste stappen je zet.
In Nederland wordt dit geregeld via de Cyberbeveiligingswet, die naar verwachting medio 2026 van kracht wordt. De toezichthouder verschilt per sector: voor zorgorganisaties is dat bijvoorbeeld het NCSC of een sectorspecifiek orgaan. Het is dus belangrijk dat je van tevoren weet bij wie jouw organisatie moet melden, want tijdens een incident is daar geen tijd meer voor.
| Afspraak maken |
Wat telt als een meldplichtig incident onder NIS2?
Niet elk IT-probleem is een meldplichtig incident. Onder NIS2 spreek je van een meldplichtig incident als een cybergebeurtenis een significante verstoring veroorzaakt van de dienstverlening, of als er sprake is van een aanzienlijke impact op de vertrouwelijkheid, integriteit of beschikbaarheid van systemen en gegevens.
Concreet gaat het om situaties zoals:
- Ransomware-aanvallen die systemen of data ontoegankelijk maken
- Datalekken waarbij persoonsgegevens of bedrijfskritische informatie is gestolen
- DDoS-aanvallen die dienstverlening langdurig platleggen
- Ongeautoriseerde toegang tot kritieke systemen of netwerken
- Sabotage of manipulatie van bedrijfsprocessen via digitale middelen
De beoordeling draait om impact, niet om de technische oorzaak. Een klein lek in een systeem dat geen gevolgen heeft voor de dienstverlening valt waarschijnlijk buiten de meldplicht. Maar een aanval die zelfs tijdelijk de bedrijfscontinuïteit bedreigt, of die klanten of ketenpartners raakt, is vrijwel zeker meldplichtig. Bij twijfel is het verstandig om te melden, want te laat melden wordt harder bestraft dan een melding die achteraf niet nodig bleek.
Wie binnen de organisatie is verantwoordelijk voor de melding?
Onder NIS2 ligt de verantwoordelijkheid voor de meldplicht expliciet bij het bestuur van de organisatie, niet bij de IT-afdeling. Directeuren en bestuurders zijn persoonlijk aansprakelijk als de organisatie haar verplichtingen niet nakomt. De IT-manager voert uit, maar de beslissing om te melden ligt op managementniveau.
In de praktijk betekent dit dat je intern duidelijk moet vastleggen wie wat doet bij een incident. Een werkend incidentresponseplan bevat minimaal:
- Een aangewezen contactpersoon voor communicatie met de toezichthouder
- Een escalatielijn van IT naar directie, zodat het bestuur direct op de hoogte is
- Vooraf opgestelde meldingstemplates die snel ingevuld kunnen worden
- Contactgegevens van de relevante toezichthouder, klaarstaand voor gebruik
Veel MKB-bedrijven hebben geen dedicated compliance officer of CISO. Dat maakt het extra belangrijk om deze rolverdeling nu vast te leggen, niet midden in een incident. TCA werkt als managed IT-partner die organisaties helpt deze procedures op te zetten, inclusief meldplichtprotocollen die aansluiten op de NIS2-eisen.
Wat zijn de gevolgen als je een incident niet of te laat meldt?
Wie een meldplichtig cyberincident niet of te laat meldt, riskeert forse sancties. Onder de Cyberbeveiligingswet kunnen toezichthouders boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Bovendien kunnen bestuurders persoonlijk aansprakelijk worden gesteld.
Maar de gevolgen gaan verder dan boetes. Opdrachtgevers in jouw keten kunnen compliance gaan eisen als voorwaarde voor samenwerking. Als jij niet kunt aantonen dat je incidenten correct afhandelt en meldt, loop je het risico contracten te verliezen. Zeker in sectoren als zorg, overheid en transport wordt dit steeds vaker een harde eis.
Er is ook reputatieschade. Een incident dat slecht wordt afgehandeld, of waarbij later blijkt dat je niet hebt gemeld, is een stuk schadelijker dan een incident dat je transparant en tijdig communiceert. Toezichthouders kijken niet alleen naar of iets is misgegaan, maar ook naar hoe een organisatie ermee omgaat.
| Afspraak maken |
Hoe bereid je een organisatie voor op de meldplicht?
Een goede voorbereiding op de NIS2-meldplicht bestaat uit drie lagen: technische detectie, organisatorische procedures en bestuurlijke bewustwording. Zonder alle drie werkt het niet. Je kunt de beste monitoring hebben, maar als niemand weet wie de toezichthouder belt, verlies je kostbare uren.
Technische voorbereiding
Je kunt een incident alleen melden als je het ook detecteert. Dat vraagt om actieve monitoring van je netwerk en systemen, bij voorkeur via een 24/7-bewaking die afwijkingen signaleert voordat ze uitgroeien tot een crisis. Een sterke security baseline vormt hiervoor de basis: endpoint protection, netwerksegmentatie, logging en back-upbeleid horen hier allemaal bij.
Organisatorische voorbereiding
Stel een incidentresponseplan op en test het. Leg vast wie welke rol heeft, hoe de interne communicatie loopt en hoe je de melding bij de toezichthouder doet. Train medewerkers zodat ze weten hoe ze een verdacht incident herkennen en intern escaleren. Bewustwording is geen luxe, het is een NIS2-verplichting.
TCA helpt organisaties bij het opzetten van incidentresponseprocedures en meldplichtprotocollen die direct aansluiten op de NIS2-eisen. Als managed IT-partner blijft TCA daarna betrokken via monitoring, periodieke herbeoordelingen en bijsturing waar nodig. Dat begint met een gratis nulmeting: via een online assessment ontvang je binnen 48 uur inzicht in waar je organisatie nu staat en wat er nog moet gebeuren.
Wil je weten of jouw organisatie onder de meldplicht valt en hoe je je voorbereidt? Maak een afspraak en bespreek het zonder verplichtingen met een van onze specialisten.